WordPress 7.0.4 schließt Sicherheitslücke beim Datei-Upload

WordPress 7.0.4 wurde am 12. August 2026 als Sicherheitsupdate veröffentlicht. Die Version behebt eine Schwachstelle, über die angemeldete Benutzer mit Autorenrechten oder höheren Berechtigungen durch einen manipulierten Datei-Upload Code auf dem Server ausführen können. Betroffen sind Websites, die Imagick und Ghostscript einsetzen. Für WooCommerce-Betreiber ist damit die zugrunde liegende WordPress-Installation relevant. Das WordPress-Team empfiehlt, das Sicherheitsupdate unverzüglich einzuspielen.

Voraussetzungen der Lücke und Wege zum Update

Imagick und Ghostscript sind serverseitige Werkzeuge zur Verarbeitung von Bildern beziehungsweise Dokumenten. Die gemeldete Angriffsmöglichkeit setzt deren Einsatz sowie ein angemeldetes Benutzerkonto mit mindestens Autorenrechten voraus. Die Schwachstelle wird unter den Kennungen CVE-2026-65640 und GHSA-8vr3-7mxf-gx8w geführt.

Die Aktualisierung ist über den Bereich „Aktualisierungen“ im WordPress-Dashboard oder durch das Herunterladen von WordPress 7.0.4 möglich. Für Websites mit automatischen Hintergrundaktualisierungen kündigte WordPress zum Veröffentlichungstermin den automatischen Beginn des Updates an.

Am 12. August 2026 wurden außerdem Sicherheitskorrekturen für ältere Versionszweige bis einschließlich WordPress 4.7 vorbereitet. Diese sogenannten Rückportierungen sollten nach Fertigstellung erscheinen. Daraus folgt keine allgemeine Unterstützung alter Versionen: Laut WordPress wird nur die jeweils neueste Version aktiv unterstützt.

Was das für Ihren Shop bedeutet

Wenn Sie Buchungen, Abos, B2B-Preise oder eine Warenwirtschaftsanbindung nutzen, sollten Sie die Meldung als Sicherheitsupdate der WordPress-Grundlage Ihres Shops einordnen. Sie sollten prüfen, welche WordPress-Version installiert ist und ob Imagick und Ghostscript auf dem Server eingesetzt werden. Verlassen Sie sich nicht allein auf aktivierte Hintergrundaktualisierungen, sondern kontrollieren Sie den tatsächlich installierten Versionsstand. Falls die Sicherheitskorrektur fehlt, sollten Sie das Update entsprechend der dringenden Empfehlung des WordPress-Teams einspielen.